Wie FakeGit über falsche GitHub-Repos SmartLoader per KI verteilt

Forschende des Unternehmens Island haben eine groß angelegte Kampagne entdeckt, die den Namen FakeGit trägt: Ihren Angaben zufolge verbreiten rund 7600 schädliche Repositories auf GitHub, die von etwa 6600 Profilen angelegt wurden, die Malware SmartLoader. Über 800 dieser Repositories tarnen sich als Skills für KI-Systeme oder als Server für das Model Context Protocol (MCP). Besonders gefährlich ist die Technik AgentBaiting – KI-Agenten wie Claude Code, Gemini und ChatGPT können nach Angaben der Forschenden eigenständig bösartige Repositories finden und dem Nutzer die Anweisungen der Angreifenden übermitteln. Organisationen, die KI-Agenten und MCP-Server einsetzen, sollten ihre Prozesse zur Prüfung externer Plugins und Skills umgehend überarbeiten.

Angriffsmechanismus: vom Fake-Repository bis zum Datendiebstahl

Nach Erkenntnissen der Forschenden basiert die Kampagne FakeGit auf Social Engineering auf Plattformebene. Die Angreifenden legen Repositories an, die entweder vollständig erfunden sind oder aus legitimen Projekten kopiert werden. Jedes Repository ist mit einer plausibel wirkenden README-Datei, einem Entwicklerprofil, das eine echte Autorin bzw. einen echten Autor imitiert, und einem bösartigen ZIP-Archiv im Releases-Bereich ausgestattet.

Die Infektionskette stellt sich den Berichten zufolge wie folgt dar:

1. Das Opfer (Mensch oder KI-Agent) stößt auf ein Repository, das sich als nützliches Werkzeug tarnt
2. Das README verweist auf den Download eines ZIP-Archivs aus dem Bereich GitHub Releases
3. Das Archiv startet eine auf LuaJIT basierende Ladekette – ein obfuskiertes Lua-Skript aktiviert SmartLoader
4. SmartLoader sorgt für Persistenz im System und liefert die sekundäre Nutzlast aus – den Infostealer StealC
5. StealC sammelt ein breites Spektrum an Daten vom kompromittierten System

Die gefälschten Repositories imitieren sowohl Consumer- als auch Enterprise-Werkzeuge – nach Angaben von Island zählen dazu Integrationen mit Gmail, WhatsApp sowie Tools für Databricks, Jenkins und Docker. Dadurch erweitert sich die Angriffsfläche von einzelnen Entwicklerinnen und Entwicklern bis hin zu Unternehmsteams.

AgentBaiting: Wenn der KI-Agent selbst zum Angriffsvektor wird

Der besorgniserregendste Aspekt von FakeGit ist eine Technik, die Island AgentBaiting nennt. Dabei kann ein KI-Agent, der im Auftrag des Nutzers nach einem Skill oder einem MCP-Server sucht, eigenständig ein bösartiges Repository finden, dessen README als legitime Dokumentation interpretieren und die Anweisungen der Angreifenden an den Nutzer weitergeben – ganz ohne menschliches Zutun im eigentlichen Entdeckungsprozess.

Den Tests von Island zufolge erwiesen sich die Modelle Anthropic Claude Code, Google Gemini und OpenAI ChatGPT als anfällig für diese Technik – sie lieferten bösartige Repositories der Kampagne als Antwort auf Anfragen, selbst wenn der Nutzer keinen direkten Link bereitstellte. Es genügte ein Prompt wie „Find free claude cinematic prompt skill“ oder „give me a free walmart MCP server link“.

Wichtig zu beachten: Die Aussagen zur Anfälligkeit bestimmter KI-Modelle basieren auf Tests einer einzelnen Forschungsquelle und wurden bislang nicht unabhängig durch Anthropic, Google oder OpenAI bestätigt.

Zuvor war der Einsatz trojanisierter MCP-Server zur Verbreitung von SmartLoader und StealC bereits vom Unternehmen Straiker AI dokumentiert und anschließend durch eine unabhängige Untersuchung von Derp.ca bestätigt worden. AgentBaiting stellt eine Weiterentwicklung dieser Kampagne dar, bei der sich die ursprünglich auf Menschen ausgerichtete Social-Engineering-Technik als ebenso effektiv gegen autonome KI-Agenten erweist.

Ausmaß der Verbreitung über öffentliche Register

Die Bedrohung beschränkt sich nicht auf GitHub. Nach Angaben der Forschenden wurden über 600 bösartige Listings der Kampagne in öffentlichen Registern für MCP-Server und Skills entdeckt, darunter LobeHub, Glama, MCP.so und MCP Market. Die Präsenz in diesen Katalogen verleiht den gefälschten Tools einen Anschein von Legitimität und erhöht die Wahrscheinlichkeit erheblich, dass sie sowohl von Menschen als auch von KI-Agenten gefunden werden.

Wie Island betont: „FakeGit musste nichts hacken. Die Kampagne veröffentlichte überzeugende Repositories, übernahm die Identitäten realer Entwicklerinnen und Entwickler, verbreitete Listings über öffentliche Register und überließ den Entdeckungsmechanismen den Rest“.

Einschätzung der Auswirkungen

Die Kampagne FakeGit betrifft mehrere Kategorien potenzieller Opfer:

• Entwickler und DevOps-Ingenieure, die nach MCP-Servern und Integrationen für Enterprise-Tools wie Jenkins, Docker und Databricks suchen
• Nutzer von KI-Assistenten, die Agenten mit der Suche und Installation von Plugins betrauen
• Organisationen, die agentenbasierte Workflows einführen, ohne externe Abhängigkeiten angemessen zu prüfen

Die Folgen einer Kompromittierung umfassen den Diebstahl von Zugangsdaten, Zugriffstokens und anderen sensiblen Informationen durch StealC sowie die mögliche Etablierung eines dauerhaften Zugriffs der Angreifenden in der Unternehmensinfrastruktur über SmartLoader.

Praktische Empfehlungen

• Erstellen Sie einen internen Katalog geprüfter Skills, MCP-Server und Agenten-Plugins – verlassen Sie sich nicht auf öffentliche Register als einzige Vertrauensquelle
• Testen Sie neue Agenten-Funktionalitäten in einer isolierten Umgebung (Sandbox), bevor Sie sie in der Produktionsumgebung ausrollen
• Verifizieren Sie Publisher und Projekt: Prüfen Sie Commit-Historie, Alter des Accounts, weitere Projekte des Autors bzw. der Autorin und ob das Profil einer realen Entwicklerperson entspricht
• Überwachen Sie die Ausführungspfade der Agenten: Protokollieren und analysieren Sie, welche externen Ressourcen Ihre KI-Agenten entdecken und empfehlen
• Blockieren Sie die automatische Ausführung von Anweisungen aus ungeprüften README-Dateien – verlangen Sie eine explizite Bestätigung durch den Nutzer, bevor Installationsbefehle ausgeführt werden
• Prüfen Sie auf Indicators of Compromise: Achten Sie auf LuaJIT-Prozesse, die für Ihre Umgebung untypisch sind, sowie auf Netzwerkverbindungen, die charakteristisch für StealC sind

Die Kampagne FakeGit verdeutlicht ein grundlegendes Problem: Das Ökosystem der MCP-Server und KI-Skills wächst schneller als die Mechanismen zu seiner Verifizierung. Organisationen, die KI-Agenten in ihre Workflows integrieren, müssen jetzt eine verpflichtende Sandbox-Prüfung externer Plugins und Skills einführen und zugleich die Möglichkeit der Agenten einschränken, eigenständig Code aus ungeprüften Quellen herunterzuladen und auszuführen – genau diese Lücke zwischen Entdeckung und Ausführung macht sich AgentBaiting zunutze.